‫‪ 15‬דצמבר ‪2009‬‬

‫מעקב גרסאות‬
‫גרסה ‪1.0‬‬
‫עורך‬
‫שי חן‬

‫חסוי‬

‫בקרת תכנון מאובטח‬
‫מסו"פ ‪ - 2‬מסמך ראשוני‬
‫‪sa‬‬
‫‪fdsd‬‬

‫הוכן עבור האוניברסיטה הפתוחה‬

‫רח' משכית ‪ ,27‬ת‪.‬ד‪12606 .‬‬
‫הרצלייה פיתוח‪46733 ,‬‬

‫כל הזכויות שמורות‪ ,‬הקטיקס בע"מ ©‪2006‬‬

‫טלפון‪09-9565840 :‬‬
‫פקס‪09-9500047 :‬‬

‫מסמך זה מכיל מידע פנימי ו‪/‬או חסוי של חברת הקטיקס‪ .‬אין לשכפל‪ ,‬להעתיק או למסור מידע זה‬
‫או חלק ממנו לכל גורם ללא אישור מחברת הקטיקס‪ .‬מסמך זה ניועד לשימוש בלעדי של חברת‬
‫הקטיקס ועובדיה ושל הלקוח עבורו נעשה הפרויקט‪.‬‬

.1.......................‬חשבון בנק וקוד אישי דרך מערכת מסו"פ ‪5 .......2..2‬תקציר מנהלים ‪4 .........‬‬ ‫‪.....2‬מסמך ראשוני‬ ‫האוניברסיטה הפתוחה‬ ‫תוכן עניינים‬ ‫‪ ................................‫חסוי | בקרת תכנון מאובטח מסו"פ ‪ ........................3‬הערות למבנה המערכת ‪5 ......‬‬ ‫‪ ..............................‬‬ ‫‪ .....‬‬ ‫המלצות כלליות ‪4 ..........‬‬ ‫‪ ........................................................2‬הוספת לינק כניסה למסו"פ בדף שאילתה ‪5 ...................................................................................1‬‬ ‫‪2..3...1‬קבלת נתוני כרטיסי אשראי‪ ................‬‬ ‫תיאור הפרויקט ‪4 ...................‬‬ ‫‪......‬‬ ‫‪ ........................................2.................1‬הקדמה ‪3 ...........................................................1...‬‬ ‫עמוד ‪ 2‬מתוך ‪| 15/12/20095‬‬ .........................3.1‬‬ ‫הגבלות אבטחה לאכיפה בשינויים המוצעים ‪5 .....................3................

‬לחברה פרסומים‬ ‫רבים בנושאי חשיפות אפליקטיביות באינטרנט‪ .‬‬ ‫למידע נוסף על החברה ניתן לפנות לאתר הבית שלנו בכתובת – ‪http://www.‬בין‬ ‫לקוחותיה נמנים ארגונים פיננסיים וחברות מובילות בארץ ובעולם‪ .‬במטרה להגביר את המודעות ואת‬ ‫המיומנות בפיתוח קוד מאובטח‪ .‬כמו גם מוניטין רב שנים כמרצים בכנסים בתחום זה‪ .‬החשיפות‬ ‫וההתקפות אשר נפוצות באינטרנט והתשתיות )חומרה ‪ +‬תוכנה( המשמשות לצורך כך‪ .2‬מסמך ראשוני‬ ‫האוניברסיטה הפתוחה‬ ‫‪ .com/‬‬ ‫עמוד ‪ 3‬מתוך ‪| 15/12/20095‬‬ .‬מספקת חברת הקטיקס‬ ‫מגוון רחב של הדרכות וקורסים בנושאי אבטחת מידע אפליקטיבית‪ .‬כל תוכניות ההדרכה של החברה מתבססות על הפלטפורמה הייחודית של‬ ‫חברת הקטיקס‪ .hacktics.‬מומחי‬ ‫חברת הקטיקס הינם בעל ניסיון רב בעבודה בסביבות ארגוניות שונות במגוון מגזרים‪ .1‬הקדמה‬ ‫האוניברסיטה הפתוחה שכרה את חברת הקטיקס בדצמבר ‪ 2009‬על מנת לבצע בקרת תכנון מאובטח‬ ‫למבנה העתידי של מערכת מסו"פ בגרסתה השנייה‪ .‫חסוי | בקרת תכנון מאובטח מסו"פ ‪ .‬‬ ‫בנוסף להתמחותה במבדקי חדירה ובייעוץ בתחום אבטחת מידע אפליקטיבית‪ .‬לופטגשפט בנק‪ .‬ובעלי ניסיון עתיר שנים בתחום‪ .‬תוך עבודה עם מגוון‬ ‫רחב של תשתיות וטכנולוגיות‪ .‬מטרת המבדק הייתה לאתר פגמים מבניים בתכנון של‬ ‫המערכת ולזהות כשלי אבטחה תוך שימוש במתודולוגית הבדיקות המוכחת של חברת הקטיקס‪.‬בכדי לספק ללקוח תמונת מצב אמיתית בנוגע לאיומים הקיימים למערכת מפני תוקפים אמיתיים‬ ‫ברשת‪.‬‬ ‫כל הבדיקות בוצעו תוך התייחסות לתהליכים העסקיים הממומשים ידי המערכת והסיכונים הרלוונטיים‬ ‫לגביהם‪ .‬ניסיון זה מבטיח כי הקטיקס תספק ללקוחותיה את השירותים המקצועיים‬ ‫ביותר תוך התאמתם לצרכים הארגוניים האינדיבידואליים של הלקוח‪.‬לחברת הקטיקס ידע מעמיק בתחום האינטרנט‪ .‬‬ ‫אודות הקטיקס‬ ‫הקטיקס בע"מ הנה החברה המובילה את תחום אבטחת המידע ביישומים ובבסיסי נתונים בארץ‪ .‬המדמה מערכת בנקאית אמיתית בעלת מגוון כשלי אבטחת מידע כפי‬ ‫שנראו במערכות אמיתיות‪.‬אנו מספקים ללקוחותינו התמחות‬ ‫ייחודית במתודולוגיות של אבטחת מידע אפליקטיבית‪ .‬כמו גם היכולת לחשוב "מחוץ לקופסא" והבנה‬ ‫מעמיקה של דפוסי הפעולה של האקרים‪.‬‬ ‫מייסדי החברה הינם מבין ראשוני המומחים בארץ ובעולם בתחום אבטחת המידע של יישומים ובדיקות‬ ‫חוסן‪ .

‫חסוי | בקרת תכנון מאובטח מסו"פ ‪ .2.PCI‬יש לציין שתקן ‪ PCI‬מחייב את הארגון לעמוד בתהליכים‬ ‫ארגוניים שונים )ולא רק לממש מנגנונים טכנולוגיים(‪ .‬קישורים למסו"פ(‪.2‬המלצות כלליות‬ ‫יש להצפין את נתוני האשראי בבסיס הנתונים‪ .‬ולכל הפחות לשקול לשנות תהליכים‬ ‫קיימים על פי המוצע במסמך )אורך הקוד אישי‪ .2‬תקציר מנהלים‬ ‫‪ .‬מומלץ לממש את ההמלצות בדוח זה במבנה המערכת המוצע‪ .2.SSL‬וזאת בכדי לעמוד בתקן ‪ .‬ולוודא שמקבלים את נתוני האשראי מצד המשתמש דרך‬ ‫פרוטוקול ‪ .‬כפי שהתקבלו במסמך מידי שגיב ברחום מהאוניברסיטה הפתוחה‪.2‬מסמך ראשוני‬ ‫האוניברסיטה הפתוחה‬ ‫‪ .‬הושם דגש במבדק המבנה לתאימות לתקן ‪.PCI‬‬ ‫‪ .1‬תיאור הפרויקט‬ ‫הפרוייקט כלל תהליך ‪ Secure Design‬ו‪ Attack On Paper-‬למבנה השינויים העתידיים המוצעים‬ ‫למערכת מסו"פ‪ .‬ולעבור הסמכה רשמית‪ .‬‬ ‫על פי בקשת שגיב ברחום‪ .‬‬ ‫לסיום‪ .‬כך שמימושים אלו לבדם‬ ‫אינם מספקים‪.‬‬ ‫עמוד ‪ 4‬מתוך ‪| 15/12/20095‬‬ .

‫חסוי | בקרת תכנון מאובטח מסו"פ ‪ .‬הוספת הקישור עצמו בין המערכות אין בו כדי להוות איום ישיר על‬ ‫אבטחת מערכת שאילתה או מערכת מסו"פ‪ .‬מומלץ להתחיל בתהליך שמטרתו להעלות את אורך הקוד הסודי‬ ‫ל‪ 6-‬ספרות‪.‬אך לא ייגרם נזק מפעולה זו )אין‬ ‫תרומה משמעותית לאבטחה(‪.‬חשבון בנק וקוד אישי דרך מערכת מסו"פ‬ ‫•‬ ‫לאחר קבלת כרטיס אשראי מצד המשתמש‪ .3.‬במידה והתקפה‬ ‫חמורה פוטנציאלית מתבצעת דרך שדה הכרטיס‪ .‬ולהציג לו את מידת‬ ‫הסיבוכיות של הקוד הסודי שבחר‪.1.3.‬עם זאת‪ .1. במידת הצורך‪ .2‬מסמך ראשוני‬ ‫האוניברסיטה הפתוחה‬ ‫‪ .‬ולשמור את פרטי הכרטיס המלא רק בבסיסי הנתונים הפנימיים‪.‬האיום העיקרי נובע מכך‬ ‫שהשתלטות על אתר שאילתה תאפשר לפורץ להציג קישור מזוייף למערכת מסוף‪ .‬‬ ‫•‬ ‫ההמלצה היא להשתמש באלגוריתם ‪ AES‬לצורך מימוש ההצפנה )גודל מפתח ‪ 128‬סיביות ומעלה‪.‬‬ ‫רצוי ‪ 256‬סיביות(‪.‬אך עם זאת‪ .1‬קבלת נתוני כרטיסי אשראי‪ .‬גם לא באירועי אבטחה‪ .‬מומלץ לוודא כי‬ ‫השינויים ימומשו תוך כדי התייחסות להמלצות הבאות‪:‬‬ ‫‪ .‬ולמעשה‪ .‬‬ ‫•‬ ‫אין לתעד את מספר כרטיס האשראי ל‪ LOG-‬המערכת‪ .‬אין‬ ‫להציג את מספר הכרטיס המלא או את תוקף הכרטיס לצד המשתמש בממשק המשתמש של‬ ‫האתר.‬מכיוון שהוא מרגיל את הסטודנטים לגשת למסוף דרך ה‪-‬‬ ‫‪/SSO‬שאילתה‪ .2‬הוספת לינק כניסה למסו"פ בדף שאילתה‬ ‫מומלץ לציין ששינוי זה בעייתי מבחינה חינוכית‪ .‬ניתן לתעד את הקלט שנשלח בשדה הכרטיס‬ ‫בצורה מוצפנת בלבד‪.‬אשר דרכו עשויים‬ ‫הסטודנטים לחשוף פרטים‪ .‬ניתן להציג את סוג הכרטיס ואת ארבע הספרות האחרונות של הכרטיס‪.1‬הגבלות אבטחה לאכיפה בשינויים המוצעים‬ ‫בתכנון השינויים והתוספות במערכת הושם דגש רב על אבטחת מידע‪ .‬‬ ‫•‬ ‫הערות נוספות‬ ‫אין חובה להצפין את מספר חשבון הבנק )כמוצע בהצעה המקורית(‪ .‬לפני שמערכת שאילתה הגיעה לרמת האבטחה הרצויה‪ .‬‬ ‫עמוד ‪ 5‬מתוך ‪| 15/12/20095‬‬ .‬‬ ‫•‬ ‫מומלץ לאחסן בבסיס הנתונים של מסופ רק את ארבע הספרות האחרונות של הכרטיס )בצורה‬ ‫מוצפנת(‪ .‬‬ ‫בשל רגישות מזהה הקוד הסודי‪ .‬‬ ‫‪ .3‬הערות למבנה המערכת‬ ‫‪ .3.‬‬ ‫•‬ ‫מומלץ לספק למשתמש אפשרות לייצר קוד אישי חדש בצורה רנדומלית‪ .‬יש לאחסן אותו בצורה מוצפנת )פירוט בהמשך(‪ .‬האיום הרלוונטי היחידי נובע מהתקפות ‪PHISHING‬‬ ‫שיבוצעו לאחר השתלטות אפשרית על ה‪/SSO-‬שאילתה וינוצלו לצורך גניבת מזהי מסו"פ של המשתמשים‪.

Sign up to vote on this title
UsefulNot useful